När leverantörskedjor blir hackarnas motorväg – och hur AI-rävar kan rädda dagen

Jag brukar säga att en leverantörskedja är som en korv: du vill egentligen inte veta vad som finns i den förrän det är för sent. Och just nu är det för sent för både Cisco och EU-kommissionen, som båda fått sina digitala korvar stulna av glupska hackare. Men istället för att gråta över spilld kod kan vi lära oss något – och kanske till och med skratta lite. (Okej, jag skojar, det här är inte roligt. Men jag ska försöka underhålla er ändå.)

Problemet? Supply chain-attacker (eller ”leverantörskedjeintrång” för er som föredrar svenska som sounds like IKEA-instruktioner) har blivit hackarnas nya favoritleksak. Och när även verktyg som säkerhetsskannrar (ja, Trivy, jag tittar på dig) blir inkörsportar, då vet vi att vi har ett problem större än min svärmors julmatlåda.

Varför leverantörskedjor är som en dålig relation: ”Det är inte du jag är arg på, det är dina vänner”

Förr i tiden räckte det med att skydda sin egen bur. Nu måste du fråga dig: Vem vakar häcken hos dem som vakar din häck? Här är grejen:

• Trivy-hacket visade att även säkerhetsverktyg kan bli vapen. Som när din brandsläckare börjar spruta bensin.
• Cisco fick sin källkod stulen via en GitHub Action-plugin – det vill säga, någon glömde låsa dörren till verktygsladan där nycklarna till hela slottet låg.
• EU-kommissionen förlorade 350GB data till ShinyHunters (som låter som ett glamrock-band men är betydligt mindre trevliga).

Poängen? Din säkerhet är nu lika stark som den svagaste länken i någon annans kedja. Och just nu ser det ut som om halva tech-världen köpt sina länkar på Önskebutiken.

AI till undsättning: När din SRE-ingenjör sover (som den alltid gör klockan 3 på natten)

Här kommer det roliga: medan hackare leker kurragömma i våra system, har AWS och andra börjat använda agentisk AI för att automatisera incidenthantering. Och nej, det är inte som Clippy från Office 97 – det här är mer som en cybersäkerhets-räv som aldrig sover (precis som jag!)

Ta AWS DevOps Agent (som jag ömt kallar ”Räddnings-Ragge”). Den här killen:

• Vaknar när CloudWatch skriker (vilket det gör oftare än min granne när jag grillar klockan 23).
• Korrerlar data snabbare än jag kan korrelera min skafferi-lista med vad som faktiskt finns i kylen.
• Föreslår lösningar – som ”köp mer DynamoDB-kapacitet” eller ”rulla tillbaka den där commiten från klockan 2 när Per hade druckit för mycket kaffe”.

Resultat? MTTR (Mean Time to Resolution) sjunker från ”halva natten” till ”tid att brygga ett kaffe”. Och Per får sova.

4 saker som gör att din leverantörskedja är mer sårbar än en tonåring på första dejten

Efter att ha grävt i de här fallen (och ätit för mycket kaffe) har jag identifierat de största självmålsbommarna:

1. Öppna dörrar i verktyg som ska ställa dörrar: När säkerhetsskannrar (som Trivy) blir inkörsportar, då vet vi att vi har ett problem. Det är som att brandkåren startar eldsvådan.
2. GitHub Actions som en påse godis: Maliciösa plugins sprids som, ja, godis på en födelsedagskalas. Och precis som med godis: du vet aldrig vilka som är förgiftade förrän det är för sent.
3. AWS-nycklar som ligger framme som nycklarna till sommarstugan: Exfiltrerade credentials är fortfarande huvudorsaken till att hackare kan ta sig vidare i systemen. (Protip: ”password123” är inte bättre för att du lägger till ett utropstecken.)
4. Komplexitet som en labyrint designad av en sköldpadda på LSD: Ju fler molntjänster, CI/CD-pipelines och tredjepartstjänster du har, desto fler gömställen för hackare – och desto svårare för dina SRE:ar att hålla koll.

Tricksies checklista: Så här undviker du att bli nästa Cisco (eller EU)

Nu när vi har gråtit ut (eller skrattat, beroende på hur mörk din humor är), här är min praktiska checklista för att inte hamna i nästa nyhetsrubrik:

• Kartlägg dina leverantörers leverantörer – och deras leverantörer. Ja, det låter som en mardröm, och det är det. Men bättre än att vakna upp till en dataintrång-mardröm.
• Isolera dina CI/CD-pipelines som om de vore den sista toalettrullen under en zombieapokalyps. Ingen obehörig ska kunna komma åt dem, punkt.
• Använd minsta möjliga behörigheter för allt och alla. Om en GitHub Action bara behöver läsa, ge den inte skrivrättigheter. Det är som att ge en 5-åring nycklarna till godisaffären.
• Logga allt, men analysera det smart. En loggfil som ingen läser är lika värdelös som min gymkortshistorik. Använd AI-verktyg (som AWS DevOps Agent) för att hitta mönster.
• Testa dina third-party-beroenden som om de vore din svärmors mat: misstro dem tills det motsatta är bevisat. Använd verktyg som dependency scanning i din pipeline.
• Ha en incident response-playbook som inte är skriven på servetter. Och öva på den. En branddrill är inte rolig, men det är hellre det än att brinna upp.
• Automatisera det som kan automatiseras. Om en AI kan vakta dina system medan du sover, låt den göra det. (Men ge den inte tillgång till ditt kaffeförråd.)
• Uppdatera allting. Ja, även det där gamla interna verktyget som ”fungerar bra som det är”. Spoiler: det gör det inte.

Nästa steg: Från panik till proaktivt försvar

Nu när du är tillräckligt orolig (eller underhållen, hoppas jag), här är vad du kan göra imorgon:

1. Gör en ”leverantörs-revision”: Lista alla tredjepartstjänster och verktyg ni använder. Fråga er: ”Vad händer om de blir hackade?”
2. Testa AWS DevOps Agent (eller liknande) på en liten del av er infrastruktur. Se hur snabbt den kan hitta och lösa problem jämfört med era mänskliga SRE:ar. (Spoiler: rävarna vinner.)
3. Inför automatiserad secret rotation för alla credentials. Inga statiska AWS-nycklar, inga ”temporära” lösenord som varar i tre år.
4. Kör en ”chaos engineering”-dag där ni medvetet bryter saker för att se hur era system (och team) reagerar. Bonus: det är kulare än det låter.
5. Uppdatera er incident response-plan med specifika steg för leverantörskedjeattacker. T.ex.: ”Om vår säkerhetsskanner blir hackad, vad gör vi då?”

Och kom ihåg: i cybersäkerhetens värld är det inte fråga om om ni blir attackerade, utan när. Så varför inte ha en räv i teamet som kan vakta medan ni sover? (Eller dricker kaffe. Eller båda.)

Nu går jag och kollar om min egen leverantörskedja är säker. Eller så tar jag en tupp. Båda alternativen känns lika troliga just nu.